Релиз на дистрибуцията Red Hat Enterprise Linux 9.4

Компания Red Hat публикува новата версия на дистрибутива Red Hat Enterprise Linux 9.4. Готовите инсталационни образи са налични за регистрирани потребители на Red Hat Customer Portal (за оценка на функционалността могат да се използват и ISO образи на CentOS Stream 9 и безплатни версии на RHEL за разработчици). Изданието е налично за архитектурите x86_64, s390x (IBM System z), ppc64le и Aarch64 (ARM64).

Версията RHEL 9 се развива с по-отворен процес на разработка и използва за основа пакетната база CentOS Stream 9. CentOS Stream е позиционирана като upstream-проект за RHEL, даващ възможност на външни участници да контролират подготовката на пакети за RHEL, да предлагат свои изменения и да влияят на взиманите решения. В съответствие с 10-годишния цикъл на поддръжка, дистрибуцията RHEL 9 ще се поддържа до 2032 година.

Изходните кодове на RPM пакетите за RHEL 9.4 не са публикувани в публичния репозиторий git.centos.org и се предоставят на клиентите на компанията само чрез затворен раздел на сайта, където действа потребителското споразумение (EULA), което забранява реразпространение на данните, което предотвратява използването на тези пакети за създаване на производни дистрибуции. Изходните кодове остават налични в репозитория CentOS Stream, но той не е напълно синхронизиран с RHEL и в него не винаги последните версии на пакетите съвпадат с пакетите от RHEL. Rocky Linux, Oracle и SUSE възпроизвеждат изходните кодове на RPM пакетите от изданията на RHEL в рамките на проекта OpenELA.

Ключови промени в RHEL 9.4:

• Осигурена е пълна поддръжка на технологията за създаване на изолирани анклави Intel SGX (Software Guard Extensions). Поддържат се версии SGX 1 и 2, които позволяват използването на механизми FLC (Flexible Launch Control) и EDMM (Enclave Dynamic Memory Management) за промяна на правата за достъп до отделни страници от паметта на анклава, динамично добавяне/изтриване на страници памет и разширяване на анклава.
• Драйверът IDXD (Data Streaming Accelerator) за използване на ускорители за предаване на данни, вградени в Intel CPU, е преместен в категорията на стабилните. По-рано SGX и IDXD бяха класифицирани като експериментални възможности (Technology Preview).
• Реализацията на подсистемата eBPF е синхронизирана с ядрото на Linux 6.6 (в предишното издание беше използвана реализацията на eBPF от ядрото на Linux 6.3).
• В зареждача GRUB и слоя shim е добавена възможността за прилагане на механизми за защита на паметта DEP (Data Execution Prevention), NX (No Execute) и XD (Execute Disable), за да се забрани изпълнението на инструкции в определени области на паметта преди започване на зареждането на системата.
• Включени са нови версии на компилатори и инструменти за разработчици: GCC Toolset 13, LLVM Toolset 17.0.6, Rust Toolset 1.75.1 и Go Toolset 1.21.7.
• Добавени са отделни пакети (Application Streams) с нови версии на Python 3.12, Ruby 3.3, PHP 8.2, nginx 1.24, MariaDB 10.11, PostgreSQL 16.
• Актуализирани са версиите на Git 2.43.0, Git LFS 3.4.1, Valgrind 3.22, SystemTap 5.0, elfutils 0.190, cmake 3.26. Добавени са нови пакети maven-openjdk21 и libzip-tools.
• Актуализирани са пакетите, свързани със сигурността: GnuTLS 3.8.3, nettle 3.9.1, p11-kit 0.25.3, libkcapi 1.4.0, stunnel 5.71, audit 3.1.2, SSG (SCAP Security Guide) 0.1.72, openCryptoki 3.22.0, ipa 4.11.
• Актуализирани са сървърни и системни пакети: chrony 4.5, linuxptp 4.2, Rsyslog 8.2310, iptables 1.8.10, nftables 1.0.9, firewalld 1.3, stratis-cli 3.6.0, boom 1.6.0, 389-ds-base 2.4.5, samba 4.19.4, Podman 4.9.
• Инструментариум SELinux, работещ в потребителското пространство (libsepol, libselinux, libsemanage, policycoreutils, checkpolicy, mcstrans) е обновен до версия 3.6, в която на CIL (Common Intermediate Language) е добавена поддръжка за правила 'deny' и ключовите думи 'notself' и 'other'. Добавен е изпълним файл getpolicyload за показване на броя на презарежданията на правилата SELinux. Под защитата на SELinux са преместени услугите nvme-stas, rust-afterburn, rust-coreos-installer и bootc, които преди се изпълняваха в режим unconfined_service_t. Добавени са правила SELinux за SAP HANA. Добавена е нова услуга chronyd-restricted, защитена с SELinux. Добавен е пакет grafana-selinux за стартиране на grafana с защита от SELinux.
• Регистратор и верификатор Keylime, используемые для подтверждения подлинности и непрерывного отслеживания целостности внешних систем, теперь можно запускать в контейнерах, изолированных от основной системы.
• В системе ведения логов Rsyslog появилась возможность изменения настроек шифрования для TLS/SSL и добавлены новые параметры для сброса привилегий.
• В OpenSSL появилась возможность размещения файлов с настройками TLS в отдельном каталоге /etc/pki/tls/openssl.d, что позволяет переопределять параметры дополнительных криптографических модулей без изменения основного файла конфигурации OpenSSL.
• В SSSD (System Security Services Daemon) реализована возможность включения и настройки беспарольной аутентификации с использованием биометрических датчиков, поддерживающих спецификацию FIDO2, таких как устройства YubiKey.
• Добавена е експериментална команда 'podman build farm' за създаване на контейнерни образи веднага за няколко архитектури. В Podman е добавена пълна поддръжка на SQLite базиран бекенд и е предоставена възможност за използване на модули containers.conf за селективно зареждане на настройки. В Containerfile са разрешени многострочни инструкции HereDoc. Мрежовият стек CNI (Container Network Interface) е обявен за остарял. Чрез командата 'podman machine' е реализирана възможността за пренасочване на USB устройства в виртуални машини QEMU.
• В IdM (Управление Идентификацией) е предоставена възможност за задължително включване на двуфакторна аутентификация за LDAP клиенти с използване на еднократни пароли (OTP). API IdM е стабилизиран, след като преди това беше представен като експериментален. В 389 Directory Server е добавена поддръжка за протокола HAProxy, което позволява коректно определяне на IP адресите на клиентите, свързващи се чрез прокси.
• В сборщика на образи RHEL е предоставена възможност за указване на произволни точки за монтиране и създаване на различни режими на разположение (auto-lvm, lvm, raw).
• До версия 1.0.0 е обновена реализацията на протокола synce4l, осигуряваща поддръжка на технологията за синхронизиране на честотата SyncE (Synchronous Ethernet), поддържана в някои мрежови карти и комутатори, и позволяваща повишаване на ефективността на обмена на данни в приложенията на RAN (Radio Access Network) чрез по-точна синхронизация на времето. Добавена е поддръжка за предоставяния от ядрото интерфейс DPLL (Digital Phase Locked Loop).
• В подсистемата nftables е пренесена възможността за проверка на полетата на вътрешните заглавия на пакетите, предавани през тунели. В утилитата nft е добавена възможност за използване на командата 'nft reset' за нулиране на състоянията на правилата nftables, като броячи на пакети и стойности на квоти. В firewalld е спряно премахването на правила, добавени чрез iptables, ако в firewalld се използва бекенд nftables и няма правила, създадени с опцията '--direct'.
• В утилитата ss, част от пакета iproute2, е добавена опцията „—bound-inactive“ за показване на неактивни мрежови сокети TCP, които са прикрепени към IP-адресу и мрежовия порт (извършен е извикване bind), но не са свързани (извикване connect) или не са преведени в режим на чакане на връзка (извикване listen).
• В NetworkManager е добавена възможността за промяна на броя на каналите (опашки на пакети, свързани с обработчици на прекъсвания) за мрежовите интерфейси и настройка на режима SwitchDev, позволяваща делегиране на операции по пренасочване на кадри и обработка на мрежови пакети на специализирани хардуерни чипове. Добавена е поддръжка за мрежови интерфейси MACsec. За безжични връзки е предоставена възможност за назначаване на отделен постоянен MAC адрес (режим stable-ssid).
• В Nmstate е осигурена възможност за създаване на YAML файл за връщане към предишно състояние на настройките. За управление на приоритетите в агрегирани мрежови интерфейси (bond) е добавено свойство priority. Добавени са допълнителни атрибути за VLAN: registration-protocol, mvrp, reorder-headers и loose-binding. Предоставена е възможност за настройка на VLAN тагове на мрежови устройства с поддръжка на SR-IOV (Single Root I/O Virtualization).
• Върнат е модул на ядрото с реализиране на алгоритъма за контрол на претоварването TCP Illinois, който в средата позволява постигане на по-висока пропускателна способност и по-справедливо разпределение на ресурсите.
• Разширени са възможностите на утилитите rteval, rtla и cyclicdeadline. В rteval е добавена възможност за използване на префиксите '+' и '-' за прикрепяне и открепяне на ядра CPU от списъка на наблюдаваните ядра (measurement-cpulist). Утилитата rtla е обновена до състояние, съответстващо на ядрото Linux 6.6. Добавена е опция 'rtla -C' за прикрепяне към потоци на допълнителни cgroup. В утилитата cyclicdeadline е добавена възможност за визуализация на закъсненията под формата на хистограма.
• Добавена е възможност за задаване на максимален размер на FS при динамично увеличаване на размера на FS от услугата stratisd, което позволява да се избегне спад в производителността след неконтролирано увеличаване на размера на XFS.
• В инструмента lvconvert е добавена поддръжка за преобразуване на стандартни логически томове (LV) в вариант, позволяващ динамично разпределение на пространство в хранилището (thin provisioning).
• В multipathd е добавена поддръжка за обработка на събития FPIN-Li (Fabric Performance Impact Notification) за оптимизиране на достъпа до устройства NVMe. В секцията с настройки по подразбиране в multipath.conf са добавени параметрите max_retries и auto_resize. За Device-mapper-multipath са добавени настройки за използване на масива HPE Alletra 9000 NVMeFC и поддръжка на режима ANA (Asymmetric Namespace Access) в NVMeoFC.
• В категорията стабилни е включена възможността за зареждане от адаптери NVMe/FC (Non-volatile Memory Express (NVMe) over Fibre Channel).
• В уеб конзолата е опростено управлението на хранилищата и променянето на размера на разделите. Добавена е поддръжка за генериране на shell скриптове и сценарии Ansible за настройка на kdump. В секцията Виртуални машини е реализирана възможност за добавяне на открити SSH ключове и свързване на вече форматирани блочни устройства. За свързване с виртуалните машини вместо протокол SPICE се използва VNC.
• Добавени нови системни роли за стартиране, управление и настройване на fapolicyd и Microsoft SQL Server 2022. Добавена е роля snapshot за създаване и управление на LVM снимки. В ролята sshd е добавена възможност за удостоверяване чрез сертификати.
• Стабилизирана е поддръжката на виртуализация на системи ARM64 с използване на хипервизор KVM.
• Добавена е поддръжка за миграция на виртуални машини в режим Multi-FD (множество файлови дескриптори), при който се установяват няколко паралелни връзки при пренос на виртуална машина, което ускорява преноса на данни при наличието на високоскоростна мрежова връзка (20 Gbps и повече).
• Повишена е производителността на live миграция в режим Postcopy, при който виртуалната среда стартира почти веднага, а всички недостигнали данни се зареждат при опит за достъп до некопирани страници на паметта.
• Добавена е утилита toolbx, която позволява стартиране на допълнителна изолирана среда, която може да бъде конфигурирана произволно с помощта на обикновен пакетен мениджър DNF и да се използва за инсталиране на експериментални пакети без влияние върху основната система.
• Добавена е поддръжка на командни параметри на ядрото на Linux: accept_memory, ia32_emulation, arm64.nomops, cgroup_favordynmods, early_page_ext, fw_devlink.sync_state, kunit.enable, mtrr=debug, rcupdate.rcu_cpu_stall_cputime, rcupdate.rcu_exp_stall_task_details, spec_rstack_overflow и workqueue.unbound_cpus.
• Добавени са нови параметри sysctl: io_uring_group и numa_balancing_promote_rate_limit_MBps.
• Използването на механизма io_uring по подразбиране е забранено за всички процеси (sysctl io_uring_disabled=2).
• Разширена е поддръжката на хардуер. Добавени са драйвери за поддръжка на технологии Intel QuickAssist Technology, Intel TPMI, Intel Uncore Frequency, AMD HSMP, AMD XCP, AMD Platform Management и Mellanox PMC. Добавен е драйвер octeon_ep за контролери Marvell Octeon PCIe Endpoint Network Interface Controller.
• Продължава предоставянето на експериментална (Technology Preview) подкрепа:
  • VPN WireGuard,
  • kTLS (TLS на ниво ядро),
  • интерфейса за асинхронен вход/изход io_uring,
  • DAX (Direct Access) за ext4 и XFS,
  • AMD SEV и SEV-ES в хипервизора KVM,
  • услугата systemd-resolved,
  • механизма Sigstore за верификация на контейнери по цифрови подписи,
  • протоколите PRP (Parallel Redundancy Protocol) и HSR (High-availability Seamless Redundancy),
  • апарати за ускорение на IPsec чрез изнасяне на операции за инкапсулиране на пакети на страната на мрежовата карта,
  • протокол за управление на сертификати ACME, използван в Let’s Encrypt,
  • SRv6 (Segment Routing over IPv6,
  • пакета с графичния редактор GIMP 2.99.8,
  • настройки на MPTCP (Multipath TCP) чрез NetworkManager,
  • DNSSEC в IdM,
  • virtio-mem,
  • Socket API за TuneD,
  • Soft-iWARP (Internet Wide-area RDMA Protocol),
  • GNOME за ARM64 и IBM Z.

Източник: opennet.ru